Bij annulering koop op afstand moet je meteen mensen hun geld teruggeven (duh)

Geplaatst op in Ondernemingsvrijheid, 8 reacties

Dat je als webwinkelier mensen hun geld terug moet geven als ze hun annuleringsrecht gebruiken, is algemeen bekend volgens mij. Ook vrij bekend lijkt me dat je dat teruggeven gewoon ongevraagd moet doen, en wel via hetzelfde betalingsmiddel als waarmee men betaalde. Toch was er een boete van de ACM én gerechtelijk vonnis nodig om een internetwinkel hiervan te doordringen. Werken met een piepsysteem en dan een waardebon(!) geven, is niet genoeg.

Het ACM-onderzoek laat een paar pareltjes zien waar ik van mijn stoel val. Vanaf 2014 kwamen signalen binnen bij Consuwijzer.nl dat deze shop niet volgens de wet aangaf hoe het zat met het retourrecht, en dat niet iedereen uit eigen beweging van de winkel zijn geld terugkreeg.

Wat je wel kreeg, was een waardebon. Dat mag niet, tenzij de consument daar specifiek om vraagt natuurlijk. En dan: Wanneer een consument na terugzending van het product informeerde wanneer zijn geld zou worden teruggestort, verstuurde de onderneming standaardmail 1 waarin werd aangegeven dat de retourzending niet conform de retourprocedure was aangeboden. Als een van de redenen om niet tot terugbetaling over te gaan gaf de onderneming aan dat een IBAN-nummer ontbrak op het retourformulier. Daaronder werd in het e-mailbericht vermeld: “Omdat wij graag uw retourzending alsnog correct willen afhandelen hebben wij u zojuist handmatig een waardebon toegestuurd t.w.v. de geretourneerde artikelen.”

Ook de leveringskosten werden niet terugbetaald, terwijl ook dat wettelijk verplicht is.

De webwinkel zag dit als het probleem van de consument: het bracht immers behoorlijk wat werk met zich mee als je achter mensen hun bankrekeningnummer aan moet, terwijl een waardebon opsturen snel en makkelijk is. En mensen die echt hun geld willen, die gaan wel piepen.

Maar dat mag niet, aldus de rechtbank. Dit is een misleidende handelspraktijk: hiermee wordt de consument op het verkeerde been gezet over zijn wettelijke rechten. Een hoop mensen zullen denken dat ze met de waardebon genoegen moeten nemen. Zeker omdat men bij navraag te horen kon krijgen dat men geen recht meer heeft op teruggave maar een waardebon krijgt toegezonden, omdat hij verzuimd heeft zijn rekeningnummer op te geven.

Verder verzaakt de winkelier hiermee zijn zorgplicht, zijn professionele toewijding zoals dat in het consumentenrecht heet. Een piepsysteem ten aanzien van wettelijke rechten is niet toegestaan, je moet gewoon zelf in actie komen en de consument zijn recht geven. Ongevraagd en uit eigener beweging.

De hoogte van de boete wordt door de rechtbank wel iets verlaagd, omdat de ACM was uitgegaan van meerdere aparte overtredingen en de rechtbank het ziet als één samenhangende overtreding. Daarnaast bleken ACM-leden op hun LinkedIn-pagina over de zaak te hebben geschreven, en dergelijke negative publiciteit is van invloed op de boete.

Deze webwinkel heeft meer jurisprudentie op zijn naam, namelijk dat je mag annuleren voor levering. Wat precies het doel is van deze shop om de grenzen van volgens mij vrij evidente wetsartikelen op te zoeken, ontgaat me.

Arnoud

Dutch Filmworks mag van Autoriteit Persoonsgegevens tegen bittorrenters gaan optreden

Geplaatst op in Intellectuele rechten, 53 reacties

De Autoriteit Persoonsgegevens heeft een ontwerpbesluit gepubliceerd waarin staat dat de toezichthouder van plan is om Dutch Filmworks toestemming te verlenen om illegale up- en downloaders op te sporen in torrentzwermen. Dat las ik bij Tweakers, met excuses voor de vertraging. DFW roept al een tijdje achter illegale downloaders aan te willen gaan, maar lijkt dus serieus te worden: toestemming van de privacytoezichthouder is immers een vereiste om grootschalig te gaan snuffelen naar persoonsgegevens in openbare netwerken.

In theorie is het vrij simpel om achter illegale downloaders aan te gaan. Wie op Bittorrent up- of downloadt, zal daarbij immers zijn IP-adres onthullen aan de andere ‘peers’ in het netwerk (de zwerm, in Tweakerstaal). Wat je dus doet, is je aansluiten op dat netwerk en doen alsof je het bestand ook wilt hebben. De IP-adressen komen dan als vanzelf binnen. Daarmee kun je dan naar de betreffende internetproviders om NAW-gegevens te eisen, waarna je de betreffende persoon sommeert en aanklaagt.

Het bijhouden van die IP-adressen telt echter als een verwerking van persoonsgegevens, en gezien het doel daarvan (opsporing strafbare/onrechtmatige feiten) is toestemming van de toezichthouder verplicht (art. 31 Wbp). Die krijg je alleen als je een duidelijk protocol uitwerkt en daarbij zo veel mogelijk rekening houdt met de privacy van de personen wiens gegevens je verwerkt.

Kort gezegd komt het protocol van DFW erop neer dat het zonder IP-adressen wel héél ingewikkeld wordt om up- en downloaders aan te spreken, want er is geen overige identificerende informatie. Andere routes dan het aanpakken van die personen zijn er niet; blokkeren bij internetproviders mocht immers niet van het Hof Amsterdam. Plus, wie onrechtmatig bezig is moet zich niet zomaar achter de privacywet kunnen verschuilen. Zeker niet omdat torrenten nooit ‘per ongeluk’ gebeurt; wie een torrent opvraagt doet dat bewust en dan moet je niet klagen als je wordt gepakt.

Het juridisch kader is verder vrij standaard. Een derde partij verzamelt de IP-adressen en legt daarbij op forensisch betrouwbare manier vast wat en hoe. Resultaten worden aan DFW verstrekt, waarna die naar de Nederlandse internetproviders kan stappen om NAW-gegevens te krijgen, “al dan niet vrijwillig”. Het enige dat ik mis, is hoe om te gaan met het onvermijdelijke verweer dat het niet de abonnementhouder maar de buurman/het kind/een huisvriend was die zat te downloaden.

Wie bezwaar wil maken, kan dat tot 25 augustus doen.

Arnoud

Augmented reality mag je als gemeente niet zomaar reguleren

Geplaatst op in Innovatie, 11 reacties

Een rechter in Wisconsin heeft een gemeentelijke vergunningseis voor augmented reality games ongrondwettig verklaard, las ik bij Ars Technica. De maker van het spel Texas Rope ‘Em (een soort Pokémon Go) had bezwaar gemaakt tegen de regeling dat dergelijke aanbieders een vergunning moeten aanvragen en aan diverse eisen moeten voldoen, zoals de rotzooi van je spelers opruimen en zorgen voor toiletfaciliteiten en beveiliging (net zoals bij fysieke evenementen verplicht was). Maar die eis mocht men niet opleggen: een augmented reality spel is een mening, geen evenement. Hoe zou dat bij ons uitpakken?

In Nederland speelt iets vergelijkbaars: de gemeente Den Haag ligt in de clinch met de aanbieder van Pokémon Go omdat deze in Kijkduin wel heel veel spelers aantrekt, en dat de nodige overlast en schade geeft, met name in de fragiele duinen. Het aangekondigde kort geding is voor zover ik kan zien nog niet tot een einde gekomen. Ik denk dat Den Haag niet zal winnen, omdat het lastig is een spelaanbieder te verwijten dat haar spelers in een heel ander land zich misdragen.

Om diezelfde reden betwijfel ik sterk of het zou werken om zulke regels in een algemene plaatselijke verordening (APV) op te nemen, zoals die Wisconsinsche gemeente had gedaan. Regulering van een fysiek evenement is één ding: dat gebeurt in zijn geheel in jouw gemeente, er is een stuk terrein aan te wijzen waar de spelaanbieder verantwoordelijk voor is. Maar een virtueel evenement gebeurt niet feitelijk in de gemeente. Dat er spelers zijn in de gemeente vind ik wat anders.

Tegelijk zie ik het probleem wel, en we kwamen er niet uit vorig jaar toen dit gebeuren een ding werd. Het lastige helemaal is hier dat de spelaanbieders vaak niet eens zelf de locaties kiezen, die komen door crowdsourcing tot stand of worden gekozen uit openbare bronnen. Dan kun je moeilijk spreken van invloed van de aanbieder om op die locatie het spel te gaan spelen. Ik zou het pas hun verantwoordelijkheid vinden als de virtuelespelaanbieder zelf koos voor die locatie, bijvoorbeeld wanneer Scouting Nederland een speurtocht aankondigt in Scheveningen en scouts uit het hele land daar ineens neerstrijken.

Arnoud

Wat moet je onder de AVG doen met ongewenst verkregen persoonsgegevens?

Geplaatst op in Privacy, 16 reacties

Een lezer vroeg me:

Af en toe krijgen wij als PC-reparateurs per mail allerlei persoonlijke informatie van klanten gemaild, ongevraagd. Denk aan een verslag wat er misging, maar soms ook medische of andere gevoelige gegevens. Soms zelfs van collegabedrijven die ons als tweedelijns ondersteuning inschakelen. Dat is een probleem onder de AVG, want die mail is natuurlijk onbeveiligd. Wat moeten wij daar mee?

Inderdaad ben je onder de AVG verplicht zorgvuldig met persoonsgegevens om te gaan die je binnenkrijgt, en het doet er niet toe of je gevraagd hebt om die gegevens. Maar het is niet zo dat je per direct een boete krijgt wanneer iemand je ongevraagd zijn medisch dossier mailt, of zelfs maar dat die persoon een schadeclaim kan indienen. Zolang je maar adequaat je mail monitort op dergelijke gegevens, en ze wist zodra duidelijk is dat ze irrelevant zijn.

Wanneer de gegevens van een collega komen, wordt het een iets ander verhaal. Die collega is verantwoordelijke voor die gegevens, en mag ze niet zomaar aan een derde verstrekken. Dat mag in dit soort situaties eigenlijk alleen als jij als verwerker (voorheen: bewerker) bent aangesteld en er een verwerkersovereenkomst tussen jou en hem is gesloten, waarin staat dat jij in de uitvoering van je PC-reparaties persoonsgegevens kan ontvangen, dat je daarmee zorgvuldig om zult gaan et cetera. Die zal er dus sowieso moeten komen.

Nog steeds ben je dan niet schadeplichtig als je die mails binnenkrijgt en er adequaat op reageert. Maar hij is dat wel: hij verstrekt persoonsgegevens aan derden zonder afdoende maatregelen te hebben genomen. Dus de bal ligt bij hem om hier wat aan te doen. Hooguit ontstaat voor jou een probleem als dit stelselmatig gebeurt en je nooit eens een escalatie opstart om hier een einde aan te maken (of een verwerkersovereenkomst te sluiten).

Arnoud

Mogen onze politici mensen op social media blokkeren?

Geplaatst op in Uitingsvrijheid, 17 reacties

Amerikaanse politici mogen van een rechter in de staat Virginia geen mensen blokkeren op sociale media, las ik bij Nu.nl. Dit is strijd met het 1st Amendment, de vrijheid van meningsuiting, omdat politici in een openbaar forum niet zomaar mensen mogen verbieden hun mening te uiten. En daaronder valt ook het als politicus jezelf afschermen voor die mening. Dat geldt op het dorpsplein maar ook op het virtuele plein van Twitter. Hoe zou dat bij ons uitpakken?

Bij ons gaat de vrijheid van meningsuiting niet zo ver dat de beoogde ontvanger naar je moet luisteren. Wie zich wil afschermen voor andermans uiting, staat in zijn recht. Dus dat Amerikaanse argument van het public forum gaat hier niet op.

Alleen specifiek politici, althans diegenen die je redelijkerwijs tot “de overheid” kunt rekenen hebben wel rekening te houden met een ander recht, namelijk het Grondwettelijk recht van petitie:

Ieder heeft het recht verzoeken schriftelijk bij het bevoegd gezag in te dienen.

En nee, dat gaat niet alleen over formele petities en verzoekschriften. Ook het indienen van vragen en klachten – en complimenten, om in communicatiesfeer te blijven – is een Grondwettelijk recht. En opmerkelijk: aan dit recht zitten géén grenzen, zoals bij de vrijheid van meningsuiting die bijvoorbeeld moet wijken voor andermans eigendomsrecht (geen mening in de krant zonder toestemming van de eigenaar van die krant) of de privacy die moet wijken voor bijvoorbeeld de volksgezondheid.

Twitter is een elektronisch medium en dus een geschrift in de zin van dit artikel. Daarmee heeft iedereen dus het recht om via Twitter verzoeken, vragen, klachten en complimenten bij het bevoegd gezag in te dienen. Dat laatste begrip betekent zo veel als de overheid, maar dat iemand politicus is, betekent nog niet dat hij “bevoegd gezag” is. Hij moet echt aan de overheid verbonden zijn, maar zitting hebben in een gemeenteraad, de Eerste of Tweede Kamer of minister/staatssecretaris zijn is daarvoor al genoeg.

Het blokkeren van iemand op Twitter zorgt er voor dat de bevoegdgezaghebbende achter het account de berichten van de geblokkeerde in het geheel niet meer ziet. Ik zou dat wel durven aanmerken als een blokkade op dat recht om verzoeken in te dienen. Het komt immers niet meer aan. En nee, dat je nog steeds een brief kunt sturen is daarbij geen argument. Als de overheid zou zeggen, verzoekschriften alleen vrijdag in persoon afgeven tussen twee en vier dan zou dat ook geen toegestaan alternatief zijn voor gewoon elektronische of schriftelijke post.

Daar staat tegenover dat de overheid niet verplicht is om te antwoorden op een verzoek. In principe hoort dat wel, dat volgt uit de beginselen van behoorlijk bestuur zoals dat heet. Als je als burger een antwoord mag verwachten, dan mag je een antwoord verwachten. Maar een verplichting is het niet, tenzij uit andere wetgeving volgt van wel (denk aan een Wob-verzoek of een bezwaarschrift onder de Awb).

Lastig is natuurlijk dat zo’n recht zich goed leent voor misbruik, denk aan querulanten die de overheid bestoken met allerlei verzoeken met als geen ander doel overlast veroorzaken of dwangsommen incasseren. Dat bestrijden is een hele moeilijke, juist omdat toegang tot de overheid zo belangrijk is. Je moet het dan ook wel heel bont maken wil de rechter je verbieden contact te zoeken met politici.

Alles bij elkaar denk ik dus dat het nog best moeilijk ligt, om als politicus (verbonden aan de overheid) mensen te blokkeren op Twitter. De enige escape zou nog kunnen zijn dat je account persoonlijk is en niet aan de overheid gelieerd. Voor bijvoorbeeld het Twitter-account van de minister-president zie ik dat niet*, maar bij veel politici zie je eigenlijk alleen persoonlijke uitingen. Daar zou een blokkade dus niet gericht zijn op het tegenhouden van verzoeken bij het bevoegd gezag en dus wel toegestaan.

  • De RVD meldt desgevraagd dat het @MinPres account nul blokkades in Twitter ingesteld heeft.

Arnoud

Mag de eigenaar van een gestolen laptop deze opsnuffelen bij een legitieme koper?

Geplaatst op in Regulering, Security, 32 reacties

Een lezer vroeg me:

Onlangs kreeg ik de politie aan de deur: ik zou in het bezit zijn van een gestolen laptop! Bij navraag bleek het te gaan om een tweedehands die ik keurig in een computerwinkel had gekocht (met bon, reële prijs, semi-bekende keten wiens naam ik even niet noem) dus niets aan de hand. Maar men bleek me te hebben opgespoord door ‘Absolute Software’ van het bedrijf LoJack/CompuTrace. Het bedrijf geeft te kennen dat het geen middelen schuwt om via een voorgeïnstalleerde backdoor informatie te vergaren betreffende het “gestolen” goed, waaronder: hard drive mining, keystrokes/typed data, screen images en position. Is dat wel legaal, zeker in mijn situatie?

Het kopen van gestolen goed heet normaal ‘heling’ en is strafbaar. Echter, de wet (art. 3:86 BW beschermt de consument die gestolen goed koopt bij een bedrijf of winkel. Deze wordt gewoon eigenaar van het goed, en kan niet worden vervolgd voor heling.

Steeds meer ICT-producten zoals laptops, tablets of telefoons worden voorzien van “phone home”-achtige software, waarmee de eigenaar op afstand kan zien waar het apparaat zich bevindt. Vaak is die software ook voorzien van aanvullende features, waarmee kan worden rondgekeken op de telefoon en waarmee de camera kan worden bediend om de huidige houder vast te leggen. (Zie deze mooie documentaire over wat er allemaal kan.)

Informatie achterhalen over je eigen laptop valt onder de informatievrijheid en dat is een grondrecht. Maar de privacy is óók een grondrecht, zelfs tot op zekere hoogte voor de dader van een misdrijf. De schandpaal is immers afgeschaft, heet dat dan onder beschaafde juristen. En hier gaat het niet om een dief maar om een gewone eerlijke burger die iets legaal kocht in een winkel. Hoezo mag diens privacy worden geschonden door de oude eigenaar van het apparaat? Dit is typisch zo’n balans uit het internetrecht waar niet meteen een eenduidig antwoord op is.

Voor mij zou denk ik uiteindelijk de doorslag geven hoe groot de kans is dat een gestolen laptop via een winkel terecht komt bij een particulier die te goeder trouw is. Als de overgrote meerderheid die laptop in strafbare hoedanigheid verwerft, dan zou ik weinig moeite hebben met de privacyaspecten van deze zaak. Zeker als de gegevens ook nog eens alleen voor aangifte en opsporing gebruikt worden, en niet voor eh documentaires of andere openbaarmakingen door het slachtoffer.

Arnoud

Mogen persoonsgegevens in andere landen dan de VS wel worden opgeslagen?

Geplaatst op in Privacy, 3 reacties

Een lezer vroeg me:

Er is natuurlijk veel te doen over data die naar de USA kan gaan. Ik hoor echter nooit discussies over data die bijvoorbeeld naar India gaat. Wat zegt de AVG over andere landen buiten de EU?

Het gaat inderdaad vaak om de Verenigde Staten, maar juridisch gezien is de VS niet anders dan andere landen buiten de Europese Economische Ruimte: persoonsgegevens mogen daar niet naar toe, tenzij in de wet (de Algemene Verordening Gegevensbescherming) staat van wel.

De wet kent een aantal gronden waarop persoonsgegevens in een bepaald land mogen worden opgeslagen. De belangrijkste is dat de Europese Commissie heeft besloten dat landen “een passend beschermingsniveau waarborgen”. Op dit moment zijn dit:

Andorra, Argentinië, Canada (alleen voor de commerciële sector en alleen in gebieden waar de Canadian Personal Information Protection and Electronic Documents Act van toepassing is), de Faeröer Eilanden, Guernsey, Israël, het Isle of Man, Jersey, Nieuw-Zeeland, Uruguay, de Verenigde Staten (alleen indien de betrokken Amerikaanse partij bij Privacy Shield is aangesloten) en Zwitserland.

Wil je gegevens in deze landen opslaan, of bedrijven daar iets laten doen met die gegevens, dan mag dat. (Natuurlijk moet je wel gewoon toestemming of andere grondslag voor de verwerking an sich hebben, en een verwerkersovereenkomst hebben gesloten, net zoals wanneer je een Europees bedrijf zou inschakelen.)

Voor andere landen is er nog de optie van “passende waarborgen”, die er kort gezegd op neerkomen dat je als Europese partij hebt geborgd dat betrokken personen daadwerkelijk dezelfde bescherming krijgen als wanneer de data in de EU was opgeslagen. Als het bijvoorbeeld gaat om een Indiase dochter van een Europees concern, dan zijn zogeheten bindende bedrijfsvoorschriften (intra-concern contracten) goed genoeg.

Een andere optie zijn de zogeheten standaardbepalingen of “model clauses”, door de EU voorgeschreven contractuele bepalingen die ook dergelijke waarborgen afdwingen. Wel blijf je als EU-partij verantwoordelijk voor de feitelijke naleving door die Indiase partij. En daar zit natuurlijk de pijn bij gebruik van niet-Europese partijen: hoe ga je die aansprakelijk stellen of schade verhalen als blijkt dat die contractuele regels niet meer waren dan mooie woorden?

Arnoud

Terugblik: Een cynisch stukje piratenbaaifrustratie

Geplaatst op in Intellectuele rechten, 3 reacties

Vanwege mijn vakantie deze week geen nieuwe blogs. In plaats daarvan een terugblik op de afgelopen tien jaar: ik heb vijf populaire blogs geselecteerd en kijk er anno 2017 graag nog eens naar met jullie.

Vandaag: Een cynisch stukje piratenbaaifrustratie, met bijna 2000 woorden en 287 stevige reacties een van mijn cynischste stukken ooit.

Goed. In kort geding bepaalde de rechtbank Den Haag dat ook UPC, KPN, T-Mobile en Tele2 de piratenbaai moeten blokkeren. De motivatie is uitgebreid maar komt neer op “dit hadden we in het vonnis tegen Ziggo allemaal al gezegd”. En dat is eigenlijk niet zo heel gek: in de Ziggo-zaak is uitgebreid van alles besproken, en waarom zou de rechter in kort geding dat nog eens dunnetjes over moeten doen?

Wat me vervolgens búitengewoon stoorde, is dat zo ongeveer iedereen weer ging roepen dat die rechters geen verstand hadden van internet, dat dit tegen netneutraliteit was en dat torrentsites geen auteursrechten schenden dus belachelijk dat rechters dit toewijzen. Ehm. Nee.

En mensen die roepen dat hier sprake is van corruptie, zijn écht knettergek. Ja jij, Rick Falkvinge, mafkees die je bent. Ik moet me inhouden om niet “ga eens deaud” te zeggen. En niet alleen omdat er geen schijn van bewijs is (nee, een cursus uit 2010 is geen bewijs van corruptie), maar ook omdat je jezelf daarmee volstrekt diskwalificeert bij de partijen bij wie je wél moet zijn – de politiek. En niet alleen jezelf: iederéén die probeert iets te zeggen ter verdediging van TPB of die tegen filteren is.

En nee het hielp niet dat die opmerking naar Falkvinge me op het verwijt kwam te staan dat ik een doodsbedreiging uitstuurde. Sjonge.

Het blijft pijnlijk om die blog terug te lezen. Maar de ergenis zat diep. Enerzijds auteursrechthebbenden die hun werken gewoon als hun eigendom zien en geen millimeter rechten van derden erkennen. Anderzijds contentafnemers die eigenlijk al die regels maar stom vinden en onder het motto “het kan dus het mag” pakken wat ze pakken kunnen. Maar ik leg de schuld vooral bij de politiek die geen knopen doorhakt en niet met regels komt om deze jarenlange puinhoop eens op te ruimen.

Arnoud

Wanneer URL-manipulatie strafbaar is als computervredebreuk

Geplaatst op in Regulering, 11 reacties

Vanwege mijn vakantie deze week geen nieuwe blogs. In plaats daarvan een terugblik op de afgelopen tien jaar: ik heb vijf populaire blogs geselecteerd en kijk er anno 2017 graag nog eens naar met jullie.

Vandaag: Wanneer URL-manipulatie strafbaar is als computervredebreuk,

De man die de kersttoespraak van koningin Beatrix op internet vond, heeft zich strafbaar gemaakt. Zoiets zei ik Eerste Kerstdag [2012] tegen de NOS. En dat maakte nogal wat los. URL’s zijn toch openbare adressen, wat op een server staat is niet geheim, er wordt niets gekraakt, dit is toch pure domheid van de RVD, en ga zo maar door. Ja ja dat klopt allemaal en de RVD is ook een stel prutsers maar het blijft een feit dat binnendringen óók zonder iets te kraken strafbaar is.

Sinds 2006 hebben we een brede definitie van computervredebreuk: ieder opzettelijk en wederrechtelijk “binnendringen” in een computersysteem is strafbaar, ook als er niets wordt gekraakt, omzeild, geïnjecteerd of vervalst. Zodra je ergens bent waarvan je wéét dat je er niet mag zijn, ben je formeel al in overtreding. En ik zie werkelijk niet waarom dat wél zou gelden bij een SQL injectie en niet bij een trivialer vorm van URL-manipulatie – zoals bij de kersttoespraakurl waarbij het een kwestie was van jaartal en UID aanpassen. Beiden zijn aanpassen van URLs.

Ik blijf het een hele moeilijke kwestie vinden. Volgens mij komt het uiteindelijk 99% neer op de intentie van het manipuleren van die URL. Een logische voor de hand liggende URL intypen (uit de comments: nl.wikipedia.org/wiki en dan eh Arnoud_Engelfried) voelt heel anders dan met getallen gaan spelen in de hoop dat je iets krijgt waarvan je wéét dat het er nog niet is. Zoals op 24 december de video van de kersttoespraak die is aangekondigd voor de 25e.

Wat me opviel bij teruglezen van de discussie is dat veel mensen een wezenlijk verschil zien tussen een ID aanpassen en dingen als SQL injectie of buffer overflows, die je toch ook via de URL doet. Zit hem het verschil dan in hoe moeilijk het is om dit te doen? Een ID aanpassen kan een kind, een buffer overflow exploiteren vereist toch enige expertise (of een gegoogeld script).

Of gaat het erom dat een ID duidelijk herkenbaar is als een ID, zodat aanpassen daarvan in de lijn der verwachtingen ligt? Zo van, hier zit een grote rode knop, natúúrlijk gaan mensen daarop klikken. Natuurlijk gaan mensen 201112253998 veranderen in 201212254003. Dat is gewoon, eh, een logisch volgend getal, beetje rare interface maar ik blader gewoon. En SQL injectie is dan anders omdat dat volstrekt onlogisch is om te doen. Niemand heet “Robert’); DROP TABLE students –” immers. Of Robert Oot dan wel Jennifer Null.

Peins peins.

Arnoud

Terugblik: Mag een stiekem gemaakte geluidsopname gebruikt worden als bewijs?

Geplaatst op in Regulering, 9 reacties

Vanwege mijn vakantie deze week geen nieuwe blogs. In plaats daarvan een terugblik op de afgelopen tien jaar: ik heb vijf populaire blogs geselecteerd en kijk er anno 2017 graag nog eens naar met jullie.

Vandaag: Mag een stiekem gemaakte geluidsopname gebruikt worden als bewijs?, met bijna 100 reacties en 85.000 views (robots niet meegeteld) een zeer populair onderwerp kennelijk.

Regelmatig krijg ik in diverse varianten de vraag of een stiekem gemaakte geluidsopname van een gesprek gebruikt mag worden als bewijs. Dit meestal naar aanleiding van mijn artikel Opnemen van gesprekken, waarin dat met zoveel woorden staat:

Een telefoongesprek opnemen dat je zelf voert, mag je dus opnemen – ook wanneer je dat niet meldt aan de tegenpartij. Alleen het heimelijk opnemen van zo’n gesprek zonder deelnemer te zijn is dus strafbaar (tenzij je toestemming hebt van één van de deelnemers).

Gebruik als bewijs is eigenlijk altijd toegestaan. In het gewone (civiele) recht gelden namelijk geen specifieke eisen voor hoe het bewijs verkregen mag zijn. De rechter mag zelf alles beoordelen op de merites. Hij hoeft bewijs niet uit te sluiten omdat het een stiekeme opname is. Wel zou hij het bewijs anders kunnen waarderen: een informeel gesprekje op de vrijmibo zal minder bewijskracht hebben over de intenties van een bedrijf dan een formele verklaring van de directie bij een persconferentie. Maar dat gaat dan over de inhoud, niet over de vorm.

Toch hoor ik nog regelmatig dat mensen zeggen, dit is onrechtmatig verkregen bewijs en dus onbruikbaar. Dat klopt dus niet, naar Nederlands recht. Te veel Amerikaanse rechtbankseries gekeken. En nee, ook niet als een agent het zegt: ook in strafzaken mogen stiekeme opnames worden gebruikt als bewijs. Alleen opnames gemaakt door de politie zijn onrechtmatig verkregen bewijs als er geen taplast of andere toestemming conform het Wetboek van Strafvordering is gegeven.

Er is wel een grens: als er sprake is van inbreuk op iemands privacy en die inbreuk “rechtens ontoelaatbaar” is. Dat is een vrij hoge lat, waar je bij zakelijke gesprekken niet snel aan zult zitten. Héél misschien bij een rechtszaak over een echtscheiding, maar zelfs daar geen garanties. Ik heb in ieder geval nog steeds geen vonnis gevonden waarin een illegale gespreksopname als bewijs terzijde werd geschoven vanwege deze grond. (Vanwege kwaliteitsproblemen, authenticiteitsproblemen of gewoon te weinig concreets, ja dat wel.)

Voor bedrijven die gesprekken opnemen, geldt natuurlijk wel de privacywet (Wbp en straks AVG). Zij moeten mensen melden dat ze gesprekken opnemen en waarom, moeten op verzoek een kopie van de opname verstrekken en moeten opnames goed beveiligen. Maar ook wanneer die wet wordt geschonden, mag de opname als bewijs worden gebruikt. Dat er dan een boete voor het schenden van de privacywet volgt, staat daar helemaal los van.

Arnoud